 DIVISION DE STRASBOURG
Strasbourg, le 29 juillet 2019 Monsieur le Directeur du centre nucléaire de production d'électricité de Cattenom BP 41 57570 CATTENOM 
Objet : Contrôle des installations nucléaires de base Inspection Management de la sûreté du 9 juillet 2019 Réf. : [1] Note d'EDF référencée D4550.34-11/2912 indice 2 - Directive DI 106 - Missions en matière de sûreté et de qualité - Structure sûreté qualité et service conduite 
[2] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base 
 [3] Guide de l'ASN du 21 octobre 2005 relatif aux modalités de déclaration et à la codification des critères relatifs aux événements significatifs impliquant la sûreté, la radioprotection ou l'environnement applicable aux installations nucléaires de base et aux transports internes de substances radioactives.

 [4] Note d'EDF référencée D5320/NM/00/SQ/995190 indice 23 - Note de management no 0/1/GS - Processus sûreté 
[5] Note d'EDF référencée D4008.26.07-112DI indice 1 - DI 122 - Noyau dur de vérification des CNPE 
[6] Note d'EDF référencée D4550.34-09/5682 indice 2 - Directive DI 71 - Maîtrise des changements d'états en phases d'arrêt ou de redémarrage Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base, une inspection a eu lieu le 9 juillet 2019 sur le thème « management de la sûreté ». Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites à cette occasion par les inspecteurs. 

N° Réf : CODEP-STR-2019-034638 N/Réf. Dossier : INSSN-STR-2019-0705 

## Synthèse De L'Inspection

L'inspection du 9 juillet 2019 portait sur plusieurs aspects du management de la sûreté, notamment la gestion prévisionnelle de l'effectif des « ingénieurs sûreté », l'organisation mise en œuvre pour accomplir la mission de vérification définie dans la directive d'EDF en référence [1], la maîtrise des changements d'état des réacteurs et l'écoute accordée par la direction à la filière indépendante de sûreté (FIS), dont le premier niveau est constitué d'un collectif d'ingénieurs sûreté. Lors des échanges que les inspecteurs ont eus avec vos représentants, le département sûreté qualité environnement (DSQE) s'est montré vigilant à maintenir un effectif suffisant d'ingénieurs sûreté compétents. L'organisation mise en place au sein de ce département pour assurer la mission de vérification paraît globalement satisfaisante. En particulier, l'avancement de la réalisation du programme d'audit (vérifications « de niveau 2 ») fait l'objet d'un suivi qui semble approprié. En revanche, des progrès pourraient être réalisés dans la planification des vérifications en temps différé (vérifications « de niveau 1 »)
et dans leur formalisation. 

La maîtrise des changements d'état des réacteurs a été évaluée à travers l'examen des bilans et des contrôles préalables à plusieurs changements d'état qui ont eu lieu pendant la visite partielle du réacteur no 4 début 2019 et pendant la visite partielle du réacteur no 1 en cours au moment de l'inspection. Cet examen par sondage n'a pas mis en évidence de dysfonctionnement. Enfin, les décisions prises sur le caractère significatif des événements en cas de désaccord entre la FIS et les services chargés de l'exploitation des installations indiquent que la FIS bénéficie d'une écoute satisfaisante auprès de la direction. Néanmoins, les inspecteurs estiment que la FIS, à tous ses échelons, pourrait s'attacher davantage à mieux définir les critères de sélection des arbitrages pris en sa défaveur qui sont à réexaminer lors des revues à froid semestrielles prévues à cet effet par votre référentiel.

## A. Demandes D'Actions Correctives Traçabilité, Formalisation Et Justifications Des Vérifications Et Réexamens

L'article 2.5.6 de l'arrêté en référence [2] dispose que « les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies ». Les inspecteurs ont fait plusieurs constats repris en annexe et montrant un manque de traçabilité, d'assurance qualité ou de justification à postériori des actions de vérifications réalisées. 

Demande A.1 : Je vous demande de prendre en compte les éléments figurant en annexe et de me faire part des actions engagées afin de renforcer la qualité documentaire de vos actions. 

## Réexamen Des Arbitrages Défavorables À La Fis

Le premier alinéa du I de l'article 2.6.4 de l'arrêté en référence [2] dispose que « l'exploitant déclare chaque événement significatif à l'Autorité de sûreté nucléaire dans les meilleurs délais ». Les inspecteurs ont examiné plusieurs cas récents d'arbitrages défavorables à la FIS. Ils se sont notamment intéressés à un écart, détecté en 2017, consistant en l'inétanchéité du muret entre les îlots nucléaires et la zone des aéroréfrigérants. Ce muret a été construit en 2007, sans calfeutrement entre les éléments préfabriqués en béton qui le constituent. Or ce muret est valorisé dans la démonstration de sûreté nucléaire en tant que disposition contre le risque d'inondation externe. En 2015, des dispositifs de protection rapprochée ont été installés devant les locaux des îlots nucléaires. Grâce à ces protections, l'inétanchéité du muret ne conduirait pas à des conséquences inacceptables en cas d'inondation externe. Cependant, la démonstration de sûreté nucléaire n'était pas respectée entre 2007 et 2015 et l'installation est demeurée non conforme au référentiel de sûreté jusqu'à la réparation du muret fin 2017. Pour cet événement, la FIS et les services chargés de l'exploitation se sont prononcés en faveur de la déclaration d'un ESS selon le critère 91 du guide de l'ASN en référence [3]. Le service chargé du génie civil considère qu'il s'agit d'un « événement intéressant la sûreté » (EIS), c'est-à-dire d'un événement qu'il est important de mémoriser mais qui n'entre pas dans le champ des critères de déclaration à l'ASN. À l'issue de la réunion du GTS, il a été décidé de réaliser des travaux pour assurer l'étanchéité du muret, sans déclarer d'ESS, ni enregistrer d'EIS. Cette décision, moins contraignante que les propositions des services, ne permet pas d'analyser les causes de l'écart, de comprendre pourquoi il a été détecté tardivement ni d'en tirer les enseignements. Cette décision n'a pas été réexaminée lors des « revues à froid » périodiques des arbitrages.

Demande A.2 : Je vous demande de réexaminer l'événement susmentionné en prenant en compte sa détection tardive et la nécessité d'analyser ses causes et d'en tirer le retour d'expérience.

## B. Compléments D'Information Mission De Vérification Du Dsqe

Un certain nombre de vérifications en temps différé est réalisé sur des thèmes prédéfinis. Ces thèmes, ainsi que la périodicité des vérifications, sont actuellement prescrits par la directive d'EDF en référence [5]. Sur la centrale nucléaire de Cattenom, ces prescriptions se traduisent par la constitution d'un programme annuel de vérification. Le DSQE a pour objectif que toutes les vérifications en temps différé prévues au programme soient réalisées dans le courant de l'année. Cependant, la répartition de ces vérifications au cours de l'année n'est pas pilotée et peut donner lieu à un non lissage sur l'année des actions. 

Demande B.1 : Je vous demande de m'informer des dispositions que vous prendrez pour piloter, autant que les cycles de fonctionnement des réacteurs le permettent, la répartition des vérifications en temps différé au cours de l'année.

## C. Observations Délai Entre La Comsat Et Le Changement D'État

La directive d'EDF en référence [6] prescrit que « la COMSAT [soit] programmée 6 à 48 heures avant d'engager le transitoire de changement d'états ». Les inspecteurs ont examiné les comptes rendus des audits (vérifications « de niveau 2 ») 17V09 et 18V08, réalisés respectivement en 2017 et en 2018 sur le thème de l'organisation des COMSAT. Lors de ces audits, les ingénieurs du DSQE ont vérifié que le délai entre les COMSAT et la signature des gammes d'évaluation et de contrôle ultime2 (ECU) était compris entre six et quarante-huit heures. Or plusieurs heures peuvent s'écouler entre la signature de la gamme d'ECU et le début du transitoire de changement d'état.

J'attire votre attention sur le fait que la directive d'EDF en référence [6] prescrit un délai maximal de quarante-huit heures entre la COMSAT et l'engagement du transitoire de changement d'état et non entre la COMSAT et la signature de la gamme d'ECU. 

�
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excédera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. 

Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

L'adjoint au chef de la division de Strasbourg SIGNÉ PAR 
Vincent BLANCHARD

## Traçabilité Des Vérifications En Temps Différé

Les missions des « structures sûreté qualité »3 des centrales nucléaires sont définies dans la directive d'EDF 
en référence [1]. La mission de vérification consiste notamment en la « vérification du système qualité qui se traduit par des audits » et en un « jugement critique (appelé également 'vérification temps différé') sur l'état de l'installation […] et la qualité des opérations d'exploitation ». Lorsque ces actions de vérification portent sur des activités importantes pour la protection4 (AIP), elles font partie du dispositif mis en place par EDF pour répondre aux exigences du premier aliéna du I de l'article 2.5.4 de l'arrêté en référence [2], aux termes duquel « l'exploitant programme et met en œuvre des actions adaptées de vérification par sondage des dispositions prises en application des articles 2.5.2 et 2.5.3 » (dispositions prises pour l'identification des AIP et de leurs exigences définies, modalités de réalisation des AIP et contrôles techniques associés). L'article 2.5.6 de l'arrêté en référence [2] dispose que « les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies ». Les inspecteurs ont examiné par sondage les comptes rendus de plusieurs vérifications en temps différé (vérifications « de niveau 1 »). Ils ont constaté que : 
- la date à laquelle la vérification a été réalisée n'est pas toujours mentionnée de manière explicite dans le compte rendu, alors qu'il s'agit d'une donnée permettant d'assurer la traçabilité temporelle des actions 
- la date de validation du compte rendu n'est pas indiquée, alors que selon la directive d'EDF en référence [1], les vérifications en temps différé font partie, avec l'évaluation quotidienne des paramètres et des conditions d'exploitation, du dispositif de vérification de l'état de sûreté des installations. Il est nécessaire de s'assurer que les constats auxquels ces vérifications peuvent donner lieu soient formalisés au plus tôt, afin que des actions correctives puissent, si nécessaire, être mises en œuvre dans des délais appropriés. 

Les dates de réalisation des vérifications en temps différé et de validation du compte rendu doivent être clairement indiquées, en particulier quand ces vérifications portent sur des AIP et le délai entre la réalisation de ces vérifications et leur formalisation doit être contrôlé. 

## Réexamen Des Arbitrages Défavorables À La Fis

Les événements significatifs sont déclarés à l'ASN selon des critères définis dans le guide de l'ASN en référence [3]. Lorsqu'un écart qui pourrait constituer un événement significatif est détecté, les services concernés, les services chargés de l'exploitation des installations et la FIS l'analysent de manière indépendante. En cas de désaccord sur le caractère déclaratif de l'écart, une instance de décision5 se réunit et le désaccord est arbitré par le représentant de la direction qui préside cette instance. La note de management de la centrale nucléaire de Cattenom en référence [4] prévoit qu' « un CSS [comité stratégique de sûreté] extraordinaire est programmé deux fois par an pour effectuer la revue à froid des arbitrages déclaratifs ». Bien que le nombre d'arbitrages défavorables à la FIS soit peu élevé, vos représentants ont expliqué aux inspecteurs que seule une sélection de ces arbitrages est réexaminée par le CSS. Cette sélection s'effectue en deux étapes : le DSQE procède à une présélection, puis un échange est organisé avec le chef de mission sûreté qualité afin d'établir la liste définitive des arbitrages qui seront réexaminés par le CSS. En 2018, quatre désaccords ont été réexaminés sur les huit ayant conduit à ne pas déclarer d'événement significatif malgré la position de la FIS. Les inspecteurs ont constaté que les arguments qui conduisent à décider de ne pas réexaminer certains arbitrages défavorables à la FIS ne font l'objet d'aucune traçabilité, ni lors de l'étape de présélection par le DSQE, ni à l'issue de la réunion avec le chef de mission sûreté qualité. Par exemple, vos représentants n'ont pas été en mesure d'exposer aux inspecteurs les raisons pour lesquelles un arbitrage de 2017, qui avait conduit à ne pas déclarer d'événement significatif alors que la FIS s'était prononcée pour la déclaration d'un événement significatif impliquant la sûreté (ESS) selon le critère 36 du guide de l'ASN en référence [3],
n'avait pas été réexaminé. Par ailleurs, il n'apparait pas clairement de critères prédéfinis permettant de sélectionner les évènements devant faire l'objet d'un réarbitrage. A défaut de réexaminer tous les arbitrages défavorables à la FIS, la traçabilité des analyses conduisant à la non sélection de certains arbitrages mériteraient d'être assurées et les critères de sélection des arbitrages réexaminés lors des « revues à froid » prédéfinis.

## Compte Rendu Des « Revues À Froid » Des Arbitrages

Les inspecteurs ont consulté les comptes rendus des « revues à froid » des arbitrages entre la FIS et les services chargés de l'exploitation des installations qui se sont tenues en 2017 et 2018. Les comptes rendus de 2017 donnent la liste des participants et retranscrivent la position de chaque service. La décision de réarbitrer ou non le désaccord y est succinctement motivée. En revanche, la revue à froid qui s'est déroulée fin 2018 est documentée sous la forme d'une présentation. La liste des participants n'y figure pas, si bien qu'il n'est pas possible de vérifier si le quorum était atteint et, par conséquent, si les décisions prises sont valides. En outre, seules les conclusions des réexamens des arbitrages sont présentées. Les échanges techniques qui ont conduit à ces décisions ne sont pas tracés, ni les arguments sur lesquels se fondent ces décisions. Le jour de l'inspection, vos représentants n'ont pas été en mesure de fournir aux inspecteurs un compte rendu plus complet.

Le contenu des comptes rendus des « revues à froid » des arbitrages entre la FIS et les services chargés de l'exploitation des installations devraient permettre de formaliser les arguments associés aux décisions prises à l'issue de ces revues.

## Mission De Vérification Du Dsqe

Les inspecteurs ont consulté le compte rendu de l'audit (vérification « de niveau 2 ») 18V08, réalisé en 2018 sur le thème de l'organisation des commissions de sûreté en arrêt de tranche7 (COMSAT). Une nonconformité est mentionnée dans la partie du compte rendu intitulée « observations générales » : « pour les COMSAT 30 et 50, le document entier et des pages sont manquantes, il n'y a pas de mode de preuve de levée des réserves, ce qui constitue une non-conformité ». Pourtant, dans la partie du compte rendu intitulée « conclusions de la vérification », il est indiqué qu'aucune non-conformité n'a été identifiée et le relevé de décisions qui figure en première page du compte rendu ne mentionne aucune action prise suite à cette non-conformité.